标题: 蠕虫程序Worm.Win32.Small.rl [打印本页]

---

作者: pioneer     时间: 2007-12-27 19:02    标题: 蠕虫程序Worm.Win32.Small.rl

病毒名称
Worm.Win32.Small.rl

捕获时间

2007-12-27

病毒症状

　　该程序是使用VC编写的蠕虫程序，采用FSG加壳方式试图躲避特征码扫描，加壳后长度为2,349字节，使用Windows默认可执行文件图标，扩展名为exe，主要通过网页木马、文件捆绑和移动存储介质方式传播。

病毒分析    

　　该程序被激活后，拷贝自身到%systemroot%\system32目录下，重命名为systime.exe，修改文件属性为只读、隐藏和系统；
　　修改注册表启动项以达到随系统一起启动的目的；
　　通过修改注册表键值使病毒文件隐藏；
　　修改系统时间使部分杀毒软件不能正常运行；
　　访问恶意网站将其它病毒程序下载到本地%systemroot%\system32目录下，命名为netapi.exe、qqapi.exe并运行；
　　遍历盘符在移动存储介质中释放隐藏病毒文件systime.exe和autorun.inf，通过Windows自动播放功能来使病毒传播。


感染对象
Windows 2000/Windows XP/Windows 2003


传播途径

网页木马，文件捆绑，移动存储介质


安全提示

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您“发现未知木马”，请直接选择删除处理（如图1）；



如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现“Worm.Win32.Small.rl”，请直接选择删除（如图2）。




对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统；
2、建议关闭U盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
4、开启windows自动更新，及时打好漏洞补丁。

---

作者: pioneer     时间: 2007-12-27 19:03
技术细节

病毒添加的注册表信息：
项：HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
键值：system
指向文件：%systemroot%\system32\systime.exe

项：HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\
键值：CheckedValue
指向变量：0

木马下载地址如下：
http://***.banjing365.com/gezi.exe
http://***.banjing365.com/qqapi.exe

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn